關於德欣
安全管理政策
1、目的
德欣寰宇科技(股)公司（以下簡稱本公司）為使同仁對安全規範有遵循之依據，特訂定「安全管理政策」（以下簡稱本政策），共包含「資訊安全政策」及「個資安全政策」，以期能達到以下之目的：
資訊安全面：確保主機、網路設備及網路通訊安全，有效降低因人為疏失、蓄意或天然災害等導致之資訊資產遭竊、不當使用、洩漏、竄改或破壞等風險，並導入及驗證資訊安全管理系統，以期能確保本公司業務資訊之機密性（被授權之人員才可使用資訊）、完整性（使用之資訊正確無誤、未遭竄改）與可用性（被授權之人員能取得所需資訊）。
個人資料保護面：落實個人資料保護法（以下簡稱個資法）之規定，並導入及驗證個人資料管理系統及隱私資訊管理系統(以下合稱個人資料管理系統)，以確保公司所有活動，包含承接的專案均能適當、相關、不過度且公平合法的蒐集、處理及利用個人資料。
2、依據
本公司依循之法律/法規及參考之國際標準之名稱及版本如下所示：
資訊安全管理系統：
2.1 ISO 27001 (Information security, cybersecurity and privacy protection — Information security management systems — Requirements)
個人資料管理系統：
2.2 BS 10012 (Data protection — Specification for a personal information management system)
2.3 ISO 29100 (Information technology — Security techniques — Privacy framework)
2.4 ISO 27701 (Security techniques — Extension to ISO 27001 and ISO 27002 for privacy information management — Requirements and guidelines)
2.5 個人資料保護法及施行細則
3、資訊安全政策
3.1 本公司各項資訊安全管理規定必須遵守政府相關法規之規定。
3.2 成立資訊安全管理組織負責資訊安全制度之建立及推動事宜。
3.3 定期實施資訊安全教育訓練，宣導資訊安全政策及相關實施規定。
3.4 建立主機及網路使用之管理機制，以統籌分配、運用資源。
3.5 新設備建置前，須將風險、安全因素納入考量，防範危害系統安全之情況發生。
3.6 建立資訊機房實體及環境安全防護措施，並定期施以相關保養。
3.7 明確規範網路系統之使用權限，防止未經授權之存取動作。
3.8 訂定資訊安全管理系統內部稽核計畫，定期檢視本公司推行資訊安全管理系統範圍內所有人員及設備使用情形，依稽核報告擬定及執行矯正預防措施。
3.9 訂定營運持續管理辦法並實際演練，確保本公司業務持續運作。
3.10 本公司所有人員負有維持資訊安全之責任，且應遵守相關之資訊安全管理規範。
4、個資安全政策
4.1 各項安全管理規範必須遵守政府相關法規之規定。
4.2 應成立個資安全管理組織負責個人資料保護制度之建立及推動事宜以確認本公司個資安全政策能被實施並配置相當資源。定期召開會議以確保個人資料安全維護之整體持續改善。
4.3 應鑑別出內部與外部的利害關係人以及這些利害關係人參與組織個資安全保護的程度，並辨識工作人員的職責及權責。
4.4 向當事人蒐集個人資料時，應符合個資法第19條之規定。
4.5 應維持組織處理個人資料的清單，並建立個人資料之風險評估及管理機制。
4.6 應建立設備、資料安全及人員管理規範及個資事故之預防、通報與應變機制。
4.7 應建立資料安全稽核及必要之使用紀錄、軌跡資料及證據之保存機制，以為後續舉證或證明已盡善良管理人之用。
4.8 定期對同仁實施個資安全認知宣導，並針對個資維護(專責)人員施以適當之教育訓練，以宣導本公司個資安全政策及相關實施規定。
4.9 定期訂定個資內部稽核計畫，檢視本公司個資保護之情形，依稽核報告擬定及執行矯正預防措施。
4.10 僅會基於合法之目的及執行法定義務的必要的範圍內公平並合法的處理個人資料。
4.11 僅會基於合法之目的蒐集最少且必要的個人資訊，處理相關且適當的個人資訊亦不會超出蒐集之目的，對於保存個資的時間須為法律或規定的需求理由或為合法的組織目的。
4.12 維持正確的個人資料並確保其安全，且於必要時維持其資訊為最新的狀態。
4.13 於處理或利用前清楚告知當事人，本公司將會以何種方式使用他們的個人料，並且尊重當事人與其個人資料的相關的權利，包括對於個人資料的存取權。
4.14 本公司保有之個人資料僅限於台灣地區使用，若有轉移到國(境)外之必要將於使用前取得當事人同意後並在有適當且充分保護下為之。
4.15 本公司若有特定目的外之利用，應符合個人資料保護法第20條之例外情形。
4.16 將隱私設計與預設融入公司文化中，確保業務流程中，蒐集、處理及利用個人資訊皆僅限於已識別目的所需。
4.17 本公司承接專案，應依業主之合約及法令法規要求，執行個人資料保護相關作業，並履行個人資料處理者通知個人資料控制者的義務。
5、政策之評估及檢討
5.1 本政策每年應至少評估一次，以反映政府各項安全政策、法令、技術及本公司業務之最新狀況，確保安全實務作業之可行性及有效性。
5.2 本政策經安全管理委員會審查後陳請董事長簽核後頒布實施，修正時亦同。